用于检测系统性故障和随机故障的电路技术方案

一种用于机动车电子计算机的故障检测电路（100），包括：主微控制器（110），其具有至少两个微控制器核心（111、112），其被配置成并行地执行相同的指令，以及确保机动车辆的关键功能的至少一个第一软件模块（113），第一软件模块包括预定输入点（Pin）和预定输出点（Sout），监督微控制器（120），以及同步通信接口（130），其用于耦合主微控制器（110）和监督微控制器（120），以使得其能够实现互相监督。该检测电路使得能够检测系统性故障和随机故障。

Circuits for Detecting Systematic and Random Faults

A fault detection circuit (100) for a motor vehicle electronic computer includes a master microcontroller (110) with at least two microcontroller cores (111, 112) configured to execute the same instructions in parallel and at least one first software module (113) ensuring the critical functions of the motor vehicle. The first software module includes a predetermined input point (Pin) and a preset. The fixed output point (Sout), supervisory microcontroller (120), and synchronous communication interface (130) are used to couple the main microcontroller (110) and supervisory microcontroller (120) so that they can achieve mutual supervision. The detection circuit makes it possible to detect systematic and random faults.

【技术实现步骤摘要】
【国外来华专利技术】用于检测系统性故障和随机故障的电路本专利技术涉及机动车领域，并且更具体地涉及用于电子计算机的故障检测电路。本专利技术还涉及包括该检测电路的电子计算机。机动车领域中的电子计算机的开发必须考虑功能安全性的众多约束，如ISO26262标准规定的那些。在该标准的背景中，尤其需要能够检测与计算机软件模块中的开发错误相关联的称为系统性故障（英语为“systematicfailures（系统性故障）”）的故障（例如，功能执行中的阻滞、部分存储空间的粉碎）。该标准的要求特别适用于实施机动车辆的称为关键功能的功能中涉及到的电子计算机，所述关键功能如ABS、ESP、EPS、EPB或安全气囊功能。为了满足这些要求，专利申请EP2685379A1提出了将主微控制器和监督微控制器集成到电子计算机中，所述主微控制器和监督微控制器被适配成经由总线型通信接口进行互相监督。该布置使得能够检测机动车辆的关键功能的众多故障。然而，文献EP2685379A1没有设想这样的配置，其中主微控制器包括至少两个微控制器核心，所述至少两个微控制器核心被布置成并行地执行相同的指令。在该特定情况下，监督微控制器无法检测到系统性故障，因为主微控制器的两个核心将执行相同的软件代码并因此产生相同的结果。因此，监督微控制器不能基于两个微控制器核心产生的相同结果而推断出与软件执行相关联的故障。此外，监督微控制器也无法检测到称为“共同随机故障（défaillancesaléatoirescommunes）”的随机故障。共同随机故障是源于电子计算机的至少两个冗余元件（如微控制器核心、电源或时钟）共同的失灵。例如，当主微控制器包括如模数转换器（下文称为ADC）之类的两个外部设备时，可以通过比较所述ADC中的每一个ADC产生的结果来推断出ADC故障检测。然而，一般来说，两个ADC，就像两个核心一样，具有相同的电源，被馈送有相同的时钟，并且通常构成同一组块的一部分。于是可能出现这样的情况：可能产生两个ADC或两个核心共同的失灵，使得来自ADC的结果不可用于检测可能的故障。实际上，完全可能产生由于电源和/或时钟的失灵或者由包括ADC和核心的组块的静电放电（ESD）导致的失灵而引起的故障。因此，监督微控制器不能基于两个外部设备产生的结果而推断出共同随机故障。这由于检测不到众多关键故障而对于所考虑的应用来说是不可接受的。为此，提出了一种用于检测主微控制器的故障的电路，该主微控制器包括被布置成并行地执行相同指令的至少两个微控制器核心。为此目的，本专利技术的第一方面提出了一种用于机动车电子计算机的故障检测电路。该电路包括：•主微控制器，其包括，-被配置成并行地执行相同指令的至少两个微控制器核心，以及-确保机动车辆的关键功能的至少一个第一软件模块，第一软件模块包括预定输入点和预定输出点，•监督微控制器，以及•同步通信接口，其用于耦合主微控制器和监督微控制器，以使得其能够实现互相监督。此外，该电路的特征在于：•所述监督微控制器被配置成向主微控制器提供第一初始化值和第二初始化值；•所述主微控制器被配置成响应于第一软件模块的执行而：-基于第一初始化值和指示主微控制器的软件模块开始执行的执行开始值，确定第一软件模块的预定输入点处的第一输入点值；-基于第二初始化值和指示主微控制器的软件模块结束执行的执行结束值，确定第一软件模块的预定输出点处的第一输出点值；-基于第一输入点值和第一输出点值，确定预定计算的第一结果值；以及-将该第一结果值提供给监督微控制器。•所述监督微控制器配备有比较装置，其用于实现第一结果值与所述预定计算的预定第一结果值之间的第一比较，使得监督微控制器能够响应于第一比较来检测主微控制器的故障。这具有能够检测双核心微控制器的系统性故障和随机故障的优点，并且这样做是为了符合ISO26262标准。在第一实施方式中，所述预定计算是至少二阶的多项式计算。这样做是为了确保两个微控制器核心都能够实现正确的计算。在第二实施方式中：•所述主微控制器包括确保机动车辆的关键功能的第二软件模块，第二软件模块包括预定输入点和预定输出点，主微控制器还被配置成响应于第二软件模块的执行而：-基于第一输入点值和执行开始值，确定第二软件模块的预定输入点处的第二输入点值，-基于第一输出点值和执行结束值，确定第二软件模块的预定输出点处的第二输出点值，-基于第二输入点值和第二输出点值，确定所述预定计算的第二结果值；以及-将该第二结果值提供给监督微控制器。•所述监督微控制器的比较装置还被配置成实现第二结果值与所述预定计算的预定第二结果值之间的第二比较，使得监督微控制器能够响应于第二比较来检测主微控制器的故障。该实施方式使得能够检测一系列关键功能的执行中的故障。在第三实施方式中：•所述监督微控制器配备有测量装置，其用于测量在向主微控制器提供第一和第二初始化值与接收结果值之间经过的时间，以及•所述监督微控制器的比较装置还被配置成实现该往返时间（tempsALLER-RETOUR）与预定往返时间之间的第三比较，使得监督微控制器能够响应于第三比较来检测主微控制器的故障。在第四实施方式中：•所述主微控制器配备有测量装置，其用于测量主微控制器的一个或多个软件模块的执行周期，以及•所述监督微控制器的比较装置还被配置成实现被传输给所述监督微控制器的执行周期的测量值与预定执行周期之间的第四比较，使得监督微控制器能够响应于第四比较来检测主微控制器的故障。在第五实施方式中：•所述主微控制器和所述监督微控制器各自独立地包括运行时钟，•所述监督微控制器还配备有时钟生成装置，其用于基于所述运行时钟和运行时钟的预定值来生成所述通信接口的运行时钟，以及•所述主微控制器还配备有：-测量装置，其用于测量所述通信接口的时钟，以及-比较装置，其用于实现由所述测量装置对所述通信接口的运行时钟的测量与运行时钟的预定值之间的第五比较，使得主微控制器能够响应于第五比较来检测监督微控制器的故障。在第六实施方式中：•所述主微控制器还配备有用于基于预定周期性值而周期性地生成指示经由通信接口的通信初始化的初始化信号的装置，以及•所述监督微控制器还配备有用于测量所述初始化信号的周期性的测量装置，所述监督微控制器的比较装置还被配置成实现由所述测量装置对所述初始化信号的接收周期性的测量与预定的周期性值之间的第六比较，使得监督微控制器能够响应于第六比较来检测主微控制器的故障。在第七实施方式中：•所述主微控制器包括第一供电单元，并且所述监督微控制器包括第二供电单元，第一和第二供电单元在物理上彼此独立，•所述主微控制器和所述监督微控制器各自独立地包括电压测量装置，•所述主微控制器耦合到第二供电单元，并且所述主微控制器的比较装置还被配置成实现由所述测量装置对第二供电单元的运行电压的测量与预定的第一运行电压范围之间的第七比较，使得主微控制器能够响应于第七比较来检测监督微控制器的故障，以及•所述监督微控制器耦合到第一供电单元，并且所述监督微控制器的比较装置还被配置成实现由所述测量装置对第一供电单元的运行电压的测量与预定的第二运行电压范围之间的第八比较，使得监督微控制器能够响应于第八比较来检测主微控制器的故障。在第八实施方式中：•致动器接口耦合到所述主微控制器和所述监督微控制器，所述致动器接口本文档来自技高网...

【技术保护点】
1.用于机动车电子计算机（ECU）的故障检测电路（100），该电路包括：• 主微控制器（110），其包括，‑ 被配置成并行地执行相同指令的至少两个微控制器核心（111、112），以及‑ 确保机动车辆的关键功能的至少一个第一软件模块（113），第一软件模块包括预定输入点（Pin）和预定输出点（Sout），• 监督微控制器（120），以及• 同步通信接口（130），其用于耦合主微控制器（110）和监督微控制器（120），以使得其能够实现互相监督，电路（100）的特征在于：• 所述监督微控制器（120）被配置成向主微控制器（110）提供第一初始化值（InitA）和第二初始化值（InitB）；• 所述主微控制器（110）被配置成响应于第一软件模块（113）的执行而，‑ 基于第一初始化值（InitA）和指示主微控制器（110）的软件模块开始执行的执行开始值（K1），确定第一软件模块（113）的预定输入点（Pin）处的第一输入点值（Entree[0]）；‑ 基于第二初始化值（InitB）和指示主微控制器（110）的软件模块结束执行的执行结束值（K2），确定第一软件模块（113）的预定输出点（Sout）处的第一输出点值（Sortie[0]）；‑ 基于第一输入点值（Entree[0]）和第一输出点值（Sortie[0]），确定预定计算的第一结果值（RESULT[0]）；以及‑ 将该第一结果值（RESULT[0]）提供给监督微控制器（120）；• 所述监督微控制器（120）配备有比较装置（129），其用于实现第一结果值（RESULT[0]）与所述预定计算的预定第一结果值（RESULT[0]*）之间的第一比较，使得监督微控制器（120）能够响应于第一比较来检测主微控制器（110）的故障。...

【技术特征摘要】
【国外来华专利技术】2016.06.08 FR 16552451.用于机动车电子计算机（ECU）的故障检测电路（100），该电路包括：•主微控制器（110），其包括，-被配置成并行地执行相同指令的至少两个微控制器核心（111、112），以及-确保机动车辆的关键功能的至少一个第一软件模块（113），第一软件模块包括预定输入点（Pin）和预定输出点（Sout），•监督微控制器（120），以及•同步通信接口（130），其用于耦合主微控制器（110）和监督微控制器（120），以使得其能够实现互相监督，电路（100）的特征在于：•所述监督微控制器（120）被配置成向主微控制器（110）提供第一初始化值（InitA）和第二初始化值（InitB）；•所述主微控制器（110）被配置成响应于第一软件模块（113）的执行而，-基于第一初始化值（InitA）和指示主微控制器（110）的软件模块开始执行的执行开始值（K1），确定第一软件模块（113）的预定输入点（Pin）处的第一输入点值（Entree[0]）；-基于第二初始化值（InitB）和指示主微控制器（110）的软件模块结束执行的执行结束值（K2），确定第一软件模块（113）的预定输出点（Sout）处的第一输出点值（Sortie[0]）；-基于第一输入点值（Entree[0]）和第一输出点值（Sortie[0]），确定预定计算的第一结果值（RESULT[0]）；以及-将该第一结果值（RESULT[0]）提供给监督微控制器（120）；•所述监督微控制器（120）配备有比较装置（129），其用于实现第一结果值（RESULT[0]）与所述预定计算的预定第一结果值（RESULT[0]*）之间的第一比较，使得监督微控制器（120）能够响应于第一比较来检测主微控制器（110）的故障。2.根据权利要求1所述的检测电路，其中，所述预定计算是至少二阶的多项式计算。3.根据权利要求1或2中的一项所述的检测电路，其中：•所述主微控制器（110）包括确保机动车辆的关键功能的第二软件模块（114），第二软件模块包括预定输入点（Pin）和预定输出点（Sout），主微控制器（110）还被配置成响应于第二软件模块（114）的执行而：-基于第一输入点值（Entree[0]）和执行开始值（K1），确定第二软件模块（114）的预定输入点（Pin）处的第二输入点值（Entree[1]）；-基于第一输出点值（Sortie[0]）和执行结束值（K2），确定第二软件模块（114）的预定输出点（Sout）处的第二输出点值（Sortie[1]）；-基于第二输入点值（Entree[1]）和第二输出点值（Sortie[1]），确定所述预定计算的第二结果值（RESULT[1]）；以及-将该第二结果值（RESULT[1]）提供给监督微控制器（120）；•所述监督微控制器（120）的比较装置（129）还被配置成实现第二结果值（RESULT[1]）与所述预定计算的预定第二结果值（RESULT[1]*）之间的第二比较，使得监督微控制器（120）能够响应于第二比较来检测主微控制器（110）的故障。4.根据权利要求1、2或3中的任一项所述的检测电路，其中：•所述监督微控制器（120）配备有测量装置，其用于测量在向主微控制器（110）提供第一和第二初始化值（InitA、InitB）与接收结果值（RESULT[0]、RESULT[1]）之间经过的时间（ALLER-RETOUR），以及•所述监督微控制器（120）的比较装置（129）还被配置成实现该往返时间与预定往返时间之间的第三比较，使得监督微控制器（120）能够响应于第三比较来检测主微控制器（110）的故障。5.根据权利要求1、2、3或4中的任一项所述的检测电路，其中：•所述主微控制器（110）配备有测量装置，其用于测量主微控制器（110）的一个或...

【专利技术属性】
技术研发人员：V埃热，
申请(专利权)人：法国大陆汽车公司，大陆汽车有限公司，
类型：发明
国别省市：法国,FR